SYN Flood(同步攻击)和IP spoofing(IP欺骗)

天云上人

开篇絮语

　　为了进一步增强NetScreen防火墙用户的安全防范能力,为了提高经常光顾我们网站的朋友们的网络安全知识水平，我们将陆续把NetScreen能够防范的一些网络攻击手段的攻击原理在这个新增的栏目里介绍给大家，希望你在这里有所收获，如果你有什么想法请到我们网站的安全论坛来发表，对于新的攻击手段我们的资料不是很全，如果你很了解这方面的情况请发表在论坛上或者与我们联系。
( J" L  N. M* V: ~- C$ z; k& \
5 z" X$ E$ u. i! |% ^) H) _　　俗话说魔高一尺，道高一丈。为了适应网络攻防技术的不断变化，为了预防将要产生的新型攻击手段，NetScreen公司在将要发布的NetScreenOS3.1*系统中将增加13种防攻击手段，现在所有可防范的网络攻击手段它们如下所列：Syn Attach(同步攻击)、ICMP flood(ICMP泛滥)、UDP flood(UDP泛滥)、Ping of death(死亡ping)、IP spoofing(IP欺骗)、Port Scan(端口扫描)、Land attack(陆地攻击)、Tear drop attack(撕毁攻击)、Filter IP source route option(过滤IP源路由选项)、IP address sweep option(IP地址扫描攻击)、WinNuke attack(WinNuke攻击)、Java/ActiveX/ZIP/EXE()、Default packet deny(预设封包拒绝)、User-defined Malicious URL(用户可预设的恶意URL)、Per-source session limiting(每源口的会话限制)、：Syn fragments(同步碎片)、Syn and Fin bit set(Syn和Fin位设置(bit set))、No flags in TCP(TCP无标记)、FIN with no ACK(无确认FIN)、ICMP fragments(ICMP碎片)、Large ICMP(大型ICMP)、IP source route(IP始发路由)、IP record route(IP记录路由)、IP security options(IP安全选项)、IP timestamp(IP时间戳)、IP stream(IP流)、IP bad options(IP损害选项)、Unknown protocols(不明协议).在这个栏目里，我们将对这些攻击手段的攻击原理进行详细介绍。

*(现在的NetScreenOS的版本为3.0，NetScreen204和NetScreen208出厂设置均为OS3.1，其他产品都可以升级到3.1，但特别老的型号不行，这里请广大用户注意，如不了解情况请及时与我公司工程师咨询）

DOS攻击原理以及常见方法介绍(--其中详细介绍了SYN Flood和IP spoofing(IP欺骗)的攻击基本原理)
文章作者：Refdom
1 ^( X& [/ s! }' y3 o; u9 l& _

) ]! X6 Z% j4 t6 H8 I  `% y3 m1 W/ l具体内容:

; P# Q% ]9 m6 M% Z, r　　已经有很多介绍DOS（Denial of Service，即拒绝服务）攻击的文章，但是，多数人还是不知道DOS到底是什么，它到底是怎么实现的。本文主要介绍DOS的机理和常见的实施方法。因前段时间仔细了解了TCP/IP协议以及RFC文档，有点心得。同时，文中有部分内容参考了Shaft的文章翻译而得。要想了解DOS攻击得实现机理，必须对TCP有一定的了解。
8 e8 k, I$ o5 D+ H
1、什么是DOS攻击
　 DOS：即Denial Of Service，拒绝服务的缩写，可不能认为是微软的dos操作系统了。好象在5·1的时候闹过这样的笑话。拒绝服务，就相当于必胜客在客满的时候不再让人进去一样，呵呵，你想吃馅饼，就必须在门口等吧。DOS攻击即让目标机器停止提供服务或资源访问。
8 Y) z" m, D1 l' S9 g
+ r+ E, Y+ }2 Q4 t$ H2、有关TCP协议的东西
　 TCP（transmission control protocol，传输控制协议），是用来在不可靠的因特网上提供可靠的、端到端的字节流通讯协议，在RFC793中有正式定义，还有一些解决错误的东西在RFC 1122中有记录，RFC 1323则有TCP的功能扩展。我们常见到的TCP/IP协议中，IP层不保证将数据报正确传送到目的地，TCP则从本地机器接受用户的数据流，将其分成不超过64K字节的数据片段，将每个数据片段作为单独的IP数据包发送出去，最后在目的地机器中再组合成完整的字节流，TCP协议必须保证可靠性。发送和接收方的TCP传输以数据段的形式交换数据，一个数据段包括一个固定的20字节，加上可选部分，后面再跟上数据，TCP协议从发送方传送一个数据段的时候，还要启动计时器，当数据段到达目的地后，接收方还要发送回一个数据段，其中有一个确认序号，它等于希望收到的下一个数据段的顺序号，如果计时器在确认信息到达前超时了，发送方会重新发送这个数据段。

　 上面，我们总体上了解一点TCP协议，重要的是要熟悉TCP的数据头（header）。因为数据流的传输最重要的就是header里面的东西，至于发送的数据，只是header附带上的。客户端和服务端的服务响应就是同header里面的数据相关，两端的信息交流和交换是根据header中的内容实施的，因此，要实现DOS，就必须对header中的内容非常熟悉。

下面是TCP数据段头格式。RFC793中的
& }" v& x0 \" o$ ?* r0 B1 Z
1 Y( r% `3 }, E3 {　　　　　　　　　　　　　　　　　　
　 0　　　　　　　　　 1　　　　　　　　　 2　　　　　　　　　 3　
　 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
9 l  h0 h( x* b3 s/ c, V: c' q( S　+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
2 Z2 y* R& _8 j' C; k　|　　　　　Source Port　　　　　|　　　 Destination Port　　　　|
　+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
　|　　　　　　　　　　　　Sequence Number　　　　　　　　　　　　|
  |* E1 b6 e0 {5 n9 m+ [　+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
　|　　　　　　　　　　Acknowledgment Number　　　　　　　　　　　|
- N3 c4 _& ]' j6 _0 j　+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
　|　Data |　　　　　 |U|A|P|R|S|F|　　　　　　　　　　　　　　　 |
( _3 |' u0 l. \2 I　| Offset| Reserved　|R|C|S|S|Y|I|　　　　　　Window　　　　　　 |
  e% J: y; e+ k1 A" b# y/ N  b　|　　　 |　　　　　 |G|K|H|T|N|N|　　　　　　　　　　　　　　　 |
　+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
　|　　　　　 Checksum　　　　　　|　　　　 Urgent Pointer　　　　|
8 Z( A8 [! `# c1 l( P- r　+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
) Q  Y0 ~: J' ~　|　　　　　　　　　　Options　　　　　　　　　　|　　Padding　　|
$ s, q0 q1 U3 j　+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
　|　　　　　　　　　　　　　　 data　　　　　　　　　　　　　　　|
! @+ A/ g; h( \7 q: n! [3 B) E& r6 r　+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
; ?$ m& m' N4 U0 Q9 L% E
8 ?8 \. D! k1 V7 h　　　　　　　　　　　　　 TCP Header Format
2 J3 E7 |/ o& W  w6 f

Source Port和 Destination Port :是本地端口和目标端口
Sequence Number 和 Acknowledgment Number ：是顺序号和确认号，确认号是希望接收的字节号。这都是32位的，在TCP流中，每个数据字节都被编号。
8 [1 i- A! Y  ~5 SData offset :表明TCP头包含多少个32位字，用来确定头的长度，因为头中可选字段长度是不定的。
Reserved : 保留的6位，现在没用，都是0

8 U9 R* U+ u$ W, B' H7 e　 接下来是6个1位的标志，这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍：
. S- S5 d! ^! m  r　 URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断
; _8 J# i) r3 {+ N　 ACK：（Acknowledgment field significant）置1时表示确认号（Acknowledgment Number）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。
" y) u' i% K. a& Z8 E7 H# D' [- [　 PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。
) s7 X0 ^- ~; q, J4 O　 RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。
　 SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，ACK=0，连接响应时，SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和Connection Accepted。
: _% @( C& o1 ?$ l. k9 f6 e( `　 FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。

　 知道这重要的6个指示标志后，我们继续来。

　 16位的WINDOW字段：表示确认了字节后还可以发送多少字节。可以为0，表示已经收到包括确认号减1（即已发送所有数据）在内的所有数据段。
　 接下来是16位的Checksum字段，用来确保可靠性的。
　 16位的Urgent Pointer，和下面的字段我们这里不解释了。不然太多了。呵呵，偷懒啊。

　 我们进入比较重要的一部分：TCP连接握手过程。这个过程简单地分为三步。
! r% Y9 v$ o1 h3 `0 U0 @; U
　 在没有连接中，接受方（我们针对服务器），服务器处于LISTEN状态，等待其他机器发送连接请求。
5 z6 p. r/ B% F+ D
5 G+ ?, K1 L% ?; q# F3 D( }第一步：客户端发送一个带SYN位的请求，向服务器表示需要连接，比如发送包假设请求序号为10，那么则为：SYN=10，ACK=0，然后等待服务器的响应。

第二步：服务器接收到这样的请求后，查看是否在LISTEN的是指定的端口，不然，就发送RST=1应答，拒绝建立连接。如果接收连接，那么服务器发送确认，SYN为服务器的一个内码，假设为100，ACK位则是客户端的请求序号加1，本例中发送的数据是：SYN=100，ACK=11，用这样的数据发送给客户端。向客户端表示，服务器连接已经准备好了，等待客户端的确认
　 这时客户端接收到消息后，分析得到的信息，准备发送确认连接信号到服务器
第三步：客户端发送确认建立连接的消息给服务器。确认信息的SYN位是服务器发送的ACK位，ACK位是服务器发送的SYN位加1。即：SYN=11，ACK=101。

0 f$ N" i5 _/ F5 S　 这时，连接已经建立起来了。然后发送数据?lt;SYN=11，ACK=101><DATA>。这是一个基本的请求和连接过程。需要注意的是这些标志位的关系，比如SYN、ACK。

" \! C! d8 Y' J3、服务器的缓冲区队列（Backlog Queue）
　 服务器不会在每次接收到SYN请求就立刻同客户端建立连接，而是为连接请求分配内存空间，建立会话，并放到一个等待队列中。如果，这个等待的队列已经满了，那么，服务器就不在为新的连接分配任何东西，直接丢弃新的请求。如果到了这样的地步，服务器就是拒绝服务了。
7 q9 y6 ^8 i6 I9 C+ a　 如果服务器接收到一个RST位信息，那么就认为这是一个有错误的数据段，会根据客户端IP，把这样的连接在缓冲区队列中清除掉。这对IP欺骗有影响，也能被利用来做DOS攻击。

####################################################################

　 上面的介绍，我们了解TCP协议，以及连接过程。要对SERVER实施拒绝服务攻击，实质上的方式就是有两个：
一，迫使服务器的缓冲区满，不接收新的请求。
* d- j% p. c( c二，使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接这就是DOS攻击实施的基本思想。具体实现有这样的方法：

( X' B0 w5 J9 H0 I1、SYN FLOOD
　 利用服务器的连接缓冲区（Backlog Queue），利用特殊的程序，设置TCP的Header，向服务器端不断地成倍发送只有SYN标志的TCP连接请求。当服务器接收的时候，都认为是没有建立起来的连接请求，于是为这些请求建立会话，排到缓冲区队列中。
　 如果你的SYN请求超过了服务器能容纳的限度，缓冲区队列满，那么服务器就不再接收新的请求了。其他合法用户的连接都被拒绝掉。可以持续你的SYN请求发送，直到缓冲区中都是你的只有SYN标记的请求。现在有很多实施SYN FLOOD的工具，呵呵，自己找去吧。
7 b4 O8 [8 b' u- Y3 u+ V  x) ]: y$ M
2、IP欺骗DOS攻击
　 这种攻击利用RST位来实现。假设现在有一个合法用户(1.1.1.1)已经同服务器建立了正常的连接，攻击者构造攻击的TCP数据，伪装自己的IP为1.1.1.1，并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后，认为从1.1.1.1发送的连接有错误，就会清空缓冲区中建立好的连接。这时，如果合法用户1.1.1.1再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。
　 攻击时，伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务。
/ [4 v0 Q. F: v+ O* H  r1 q5 d
. Z5 Y; u/ Q# p$ n; m3、带宽DOS攻击
　 如果你的连接带宽足够大而服务器又不是很大，你可以发送请求，来消耗服务器的缓冲区消耗服务器的带宽。这种攻击就是人多力量大了，配合上SYN一起实施DOS，威力巨大。不过是初级DOS攻击。呵呵。Ping白宫？？你发疯了啊！
4 z2 T% Q; d2 \
/ s/ V, R# O$ y$ L, F+ [+ l4、自身消耗的DOS攻击
　 这是一种老式的攻击手法。说老式，是因为老式的系统有这样的自身BUG。比如Win95 (winsock v1), Cisco IOS v.10.x, 和其他过时的系统。
. D; ~2 T& _2 M3 I0 ~　 这种DOS攻击就是把请求客户端IP和端口弄成主机的IP端口相同，发送给主机。使得主机给自己发送TCP请求和连接。这种主机的漏洞会很快把资源消耗光。直接导致当机。这种伪装对一些身份认证系统还是威胁巨大的。

! z3 }# `( U: l0 h1 c0 m" `　 实施DOS攻击最主要的就是构造需要的TCP数据，充分利用TCP协议。这些攻击方法都是建立在TCP基础上的。当然还有更多的实施方法，可以自己去研究。

: g' e1 A0 x8 |  ^  {; l再加深了解一下SYN Flood的基本原理

　　SYN Flood是当前最流行的DoS（拒绝服务攻击）与DdoS（分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽（CPU满负荷或内存不足）的攻击方式。
4 j' ]) @) V4 |" P/ H, m5 t+ v
　　要明白这种攻击的基本原理，还是要从TCP连接建立的过程开始说起：
, ]5 k* s0 ?" M/ k+ A' Y
8 L, z+ F  X3 X　　大家都知道，TCP与UDP不同，它是基于连接的，也就是说：为了在服务端和客户端之间传送TCP数据，必须先建立一个虚拟电路，也就是TCP连接，建立TCP连接的标准过程是这样的：
; c* D) s# g0 L$ N- o
; z& W* P4 w+ t. W1 G4 V9 j
  s/ G7 s. o  p. S, B' r　　首先，请求端（客户端）发送一个包含SYN标志的TCP报文，SYN即同步（Synchronize），同步报文会指明客户端使用的端口以及TCP连接的初始序号；

　　第二步，服务器在收到客户端的SYN报文后，将返回一个SYN+ACK的报文，表示客户端的请求被接受，同时TCP序号被加一，ACK即确认（Acknowledgement）。
& F1 _! f0 y$ G* v) P" ?3 T6 Q0 [
　　第三步，客户端也返回一个确认报文ACK给服务器端，同样TCP序列号被加一，到此一个TCP连接完成。
以上的连接过程在TCP协议中被称为三次握手（Three-way Handshake）。
3 u' {9 o6 q3 x
( M6 H- [3 z- R/ y5 A　　问题就出在TCP连接的三次握手中，假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的（第三次握手无法完成），这种情况下服务器端一般会重试（再次发送SYN+ACK给客户端）并等待一段时间后丢弃这个未完成的连接，这段时间的长度我们称为SYN Timeout，一般来说这个时间是分钟的数量级（大约为30秒-2分钟）；一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题，但如果有一个恶意的攻击者大量模拟这种情况，服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源----数以万计的半连接，即使是简单的保存并遍历也会消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。实际上如果服务器的TCP/IP栈不够强大，最后的结果往往是堆栈溢出崩溃---即使服务器端的系统足够强大，服务器端也将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求（毕竟客户端的正常请求比率非常之小），此时从正常客户的角度看来，服务器失去响应，这种情况我们称作：服务器端受到了SYN Flood攻击（SYN洪水攻击）。